Web3新手必看：全面防范空投诈骗指南
适合国内用的虚拟币交易所
背景
在我们之前的Web3安全指南中，讨论了多签钓鱼攻击，介绍了多签wallet的工作原理、攻击者如何利用它们以及如何保护您的wallet免受恶意签名的侵害。在本期指南中，我们将探讨一个在传统行业和加密行业中广泛使用的营销策略——空投。
空投可以迅速将一个不知名的项目变成众人关注的项目，帮助其快速建立用户基础并提升市场知名度。通常，用户要访问链接并与项目互动才能领取空投的代币。然而，从伪造网站到隐藏后门的工具，黑客在空投过程中设下了各种陷阱。本指南将分析常见的空投骗 局，帮助您避开这些陷阱。
什么是空投？
空投是指Web3项目向特定wallet地址分发免费代币，以提高项目的知名度并吸引早期用户。这是项目获取用户基础的最直接方法之一。根据领取方式，空投通常分为以下几类：
- 任务型：完成项目指定的任务，如分享内容或点赞帖子。
- 交互型：进行代币交换、发送/接收代币或跨链操作等。
- 持有型：持有项目指定的代币，符合空投资格。
- 质押型：通过单资产或双资产质押、提供流动性或长期锁仓赚取空投代币。
领取空投的风险
虚假空投骗 局
这些骗 局可以分为几类：
1.官方账户被劫持：
黑客可能会控制项目的官方账户并发布虚假空投 公告。例如，常见的情况是新闻平台上出现“项目X的Twitter或Discord账号被黑，不要点击黑客分享的钓鱼链接”的警告。我们的2024年上半年区块链安全与反洗钱报告显示，2024年上半年就发生了27起此类事件。用户出于对官方账户的信任，可能会点击这些链接，进而被重定向到伪装成空投页面的钓鱼网站。如果他们输入了私钥、助记词或授予了权限，黑客便能窃取其资产。
2.评论区的假冒行为：
黑客经常创建假的项目账号，在真实项目的社交媒体渠道的评论区发布假冒空投的消息。放松警惕的用户可能会访问这些链接，进入钓鱼网站。例如，慢雾（SlowMist）安全团队曾分析过这种手法，并在一篇名为《警惕评论区假冒行为》的文章中提供了建议。此外，在合法空投宣布后，黑客会迅速使用与官方账号相似的假账号发布钓鱼链接，许多用户因此被骗，安装了恶意应用或在钓鱼网站上签署了交易。
3.社会工程攻击：
在某些情况下，骗子会渗透进Web3项目群，针对特定用户，使用社会工程技术欺骗他们。他们可能假扮成支持人员或热心的社区成员，声称可以引导用户领取空投，但实际目的是窃取他们的资产。用户应保持警惕，不要轻信任何自称为官方代表的陌生人提供的帮助。
4.“免费”空投代币
虽然大多数空投要求用户完成任务，但也有一些情况是代币会在用户未采取任何行动的情况下出现在wallet中。黑客经常向用户wallet空投毫无价值的代币，诱使用户与这些代币交互，比如转移、查看或尝试在去中心化交易所交易这些代币。然而，当你试图与这些骗 局NFT交互时，就可能会遇到错误信息，提示你访问某个网站才能“解锁你的物品”。这其实是通往钓鱼网站的陷阱。
如果用户访问诈 骗 NFT 链接的钓鱼网站，黑客可能会执行以下操作：
“零成本购买”有价值的 NFT（参考“零成本购买”NFT 钓鱼分析）。
通过批准（Approve）授权或许可（Permit）签名窃取高价值代币。
拿走原生资产。
接下来我们来看看黑客是如何精心谋划恶意合约用于窃取用户的gas费的。
首先，黑客在币安智能链（BSC）（0x513C285CD76884acC377a63DC63A4e83D7D21fb5）上创建了名为GPT的恶意合约，并通过空投代币引诱用户与之交互。
当用户与此恶意合约交互时，系统会提示他们批准该合约在其wallet中使用代币。如果用户批准此请求，恶意合约会根据用户的wallet余额自动增加gas限额，导致后续交易中的gas消耗更高。
通过利用用户提供的高gas限额，恶意合约使用多余的gas来铸造CHI代币（CHI代币可用于gas补偿）。积累大量CHI代币后，黑客可以在合约被销毁时销毁这些代币以获得Gas退款。
https://x.com/SlowMist_Team/status/1640614440294035456
通过这种方式，黑客巧妙地从用户的gas费中获利，而用户可能不知道自己已经支付了额外的gas费。用户最初希望通过出售空投的代币来获利，但最终却失去了自己的原生资产。
后门工具
https://x.com/evilcos/status/1593525621992599552
在领取空投的过程中，部分用户需要下载插件来完成转化、查看代币稀有度等任务。但这些插件的安全性值得怀疑，部分用户并不从官方渠道下载，大大增加了下载带有后门插件的风险。
此外，我们注意到在线服务出售用于领取空投的脚本，声称可以有效地自动化批量交互。但是，请注意，下载和运行未经验证和未经审查的脚本是非常危险的，因为您无法确定脚本的来源或其实际功能。这些脚本可能包含恶意代码，构成潜在威胁，例如窃取私钥或助记词，或执行其他未经授权的操作。此外，一些用户在进行此类危险操作时，要么没有安装防病毒软件，要么已禁用防病毒软件，这可能会阻止这些软件检测自己的设备是否已被恶意软件破坏，从而导致进一步的损害。
结语
在本指南中，我们通过分析常见的诈 骗策略，强调了与领取空投相关的各种风险。空投是一种流行的营销策略，但用户可以通过采取以下预防措施来降低在此过程中资产损失的风险：
全面验证：访问空投网站时务必仔细检查 URL。通过官方账号或公告确认，并考虑安装Scam Sniffer等钓鱼风险检测插件。
使用隔离wallet：仅将少量资金存放在用于空投的wallet中，同时将大量资金存放在冷wallet中。
谨慎对待未知空投：不要参与或批准涉及来源不明的空投代币的交易。
检查 Gas 限制：在确认交易之前，请务必检查 Gas 限制，尤其是当它看起来异常高时。
使用信誉良好的防病毒软件：启用实时保护并定期更新防病毒软件，以确保阻止最新威胁。
相关攻略
支撑位与阻力位：加密货币交易者必备的精准导航工具 随着数字资产浪潮席卷全球，加密货币交易已成为不可忽视的投资领域。市场在狂热与冰点间反复切换，对于每一位置身其中的交易者而言，迫切需要一套能够解读市场语言、识别关键转折点的有效工具。在传统金融市场历经百年考验的“支撑位”与“阻力位”分析，正是这样一套能
CoinMarketCap 是什么 谈到加密货币，如果认知还停留在比特币，信息可能有点滞后了。如今的加密世界早已百花齐放，新星项目层出不穷。那么，如何快速掌握市场全貌，追踪哪些币种正受追捧呢？答案就在 CoinMarketCap。这个堪称加密货币领域的“数据中枢”，几乎是所有投资者的必备工具。接下来
永续合约终极指南：新手入门、核心玩法与顶尖平台解析 近期，尽管数字资产市场波动加剧，但一种名为“合约交易”的衍生工具却频频让部分投资者在熊市中逆势获利。其中，永续合约因其独特的“无到期日”设计，已成为加密交易者进行杠杆操作的主流选择。本文将全面解析永续合约的运作机制、交易策略与核心风险，助您从入门到
数字货币是一种新型的电子货币，不受国家货币政策的影响，其交易也十分方便,现在，越来越多的人开始关注数字货币，但是对于如何购买不甚了解,本文将为您提供购买数字货币的入门教程
本文介绍了最适合初学者的 10 种加密货币,加密货币是使用加密技术来保护交易并控制新单位创建的数字资产,它们是去中心化的，这意味着它们的运作不需要中央机构或中介机构
热门专题
热门推荐
DreamFace是什么 当你还在为制作一段生动视频发愁时，市面上已经出现了能“点石成金”的工具。DreamFace，由New Port LLC开发，就是这样一个专注于照片动画和AI头像生成的AI视频解决方案。它的目标很明确：为社交媒体用户、教育工作者、商务人士等群体，提供一种近乎零门槛的视频制作方
Zop Media Car Dealer Software是什么 在汽车零售这个数字化浪潮席卷的行业里，高效的在线管理工具早已不是“锦上添花”，而是“制胜必需品”。众多选择中，Zop Media公司推出的“Zop Media Car Dealer Software”占据了一席之地。顾名思义，这是一款
Dora是什么 如果说几年前，创建一个视觉效果酷炫、带有3D动画的网站还是专业开发者的“专利”，那今天，这个门槛正在被轻松跨越。Dora的出现，恰恰扮演了这个“破壁者”的角色。它是一款专注于无代码创建3D动画网站的AI工具，由Dora团队匠心打造。无论是设计师、创业者，还是仅仅想快速搭建一个专业站点
VOS模式：一种经典的音乐游戏玩法在音乐游戏的广阔世界里，VOS模式是一个承载着许多玩家早期记忆的经典玩法。它并非指代某一款特定的游戏，而是一种游戏方式的统称。其名称来源于一款名为《Virtual Orchestra Studio》的软件，这款软件允许玩家使用电脑键盘来模拟演奏多种乐器，从而跟随音乐
VS2019打不开或没反应？资深工程师教你高效排查与修复 Visual Studio 2019 是微软推出的强大集成开发环境，广泛应用于各类软件开发。然而，部分用户在启动时可能会遭遇程序无响应或完全无法打开的问题，严重影响工作效率。本文由资深技术工程师整理，提供一套系统性的故障排除方案，帮助您快速定